Wie viele öffentliche PKIs gibt es?

Public Key Infrastructure (PKI) ist ein Rahmenwerk aus Technologien und Richtlinien, das zur Verwaltung digitaler Identitäten entwickelt wurde. Im Internet benötigen wir digitale Identitäten, um sicher miteinander kommunizieren zu können. Denn was nützt starke Verschlüsselung, wenn Sie all Ihre sensiblen Daten an die falschen Personen senden! Die Fähigkeit sicherzustellen, dass Sie mit dem beabsichtigten Empfänger kommunizieren, macht bei der Vertraulichkeit den entscheidenden Unterschied.

Vor langer Zeit, als ich gerade mit der Kryptografie begann und zum ersten Mal auf PKI stieß, dachte ich, dieser Begriff bezöge sich auf eine Schlüsselinfrastruktur, die öffentlich war. Ein leicht zu machender Fehler für Anfänger. Sehr schnell lernte ich natürlich etwas über öffentliche Schlüssel und dass sich der Name PKI darauf bezieht, wie sie organisiert sind; PKIs sind Infrastrukturen aus öffentlichen Schlüsseln.

Eine digitale Identität wird als ein Paar verbundener Schlüssel in einem bestimmten Kryptosystem kodiert. Der private Schlüssel ist die Identität und muss geheim gehalten werden; der öffentliche Schlüssel, der untrennbar mit dem privaten Schlüssel verbunden ist, gibt der Allgemeinheit die Möglichkeit, den Besitz des privaten Schlüssels zu überprüfen.

PKIs müssen nicht zwangsläufig Zertifikate verwenden, aber die heute vorherrschend genutzten PKIs tun dies. Ein Zertifikat bündelt einen öffentlichen Schlüssel mit einigen zusätzlichen nützlichen Informationen. Jedes Zertifikat enthält außerdem eine Signatur der ausstellenden Stelle, was den Überprüfungsprozess weiter vereinfacht.

Es liegt nahe zu denken, dass eine PKI etwas ist, das irgendwo in einer technischen Spezifikation definiert wird. Wenn es beispielsweise um X.509 geht [den vorherrschenden Standard für die Implementierung von PKIs], stößt man möglicherweise auf RFC 5280 und hält es fälschlicherweise für eine PKI. Es ist viel komplizierter als das. Um eine PKI aufzubauen, benötigen wir ein Fundament aus technischen Spezifikationen, doch diese Dokumente allein reichen nicht aus. Sie schaffen lediglich einen Rahmen, auf dem man aufbauen kann, und definieren ein Universum an Möglichkeiten. Eine PKI entsteht an dem Punkt, an dem technische Gegebenheiten auf die Richtlinien treffen, nach denen sie genutzt werden sollen, um einen bestimmten Zweck zu erfüllen. Unterschiedliche Ziele können zu unterschiedlichen PKIs führen, die alle auf denselben technischen Grundlagen aufbauen.

Die meisten von uns begegnen ihrer ersten PKI, wenn sie zum ersten Mal ein Website-Zertifikat benötigen. Für viele bleibt das die einzige PKI, mit der sie jemals arbeiten. Je mehr Zeit man jedoch in diesem Bereich verbringt, desto mehr erkennt man, dass es – wieder einmal – mehr dazu gibt. Auf der einen Seite kann jeder dieselben PKI-Prinzipien nutzen, um seine eigene private PKI zur internen Verwendung aufzubauen, und viele tun genau das.

Auf der anderen Seite – und vielleicht noch interessanter – erkennt man irgendwann, dass es auch eine Vielzahl an öffentlichen PKIs gibt. Die Vielfalt bei PKIs existiert aus technischen Gründen (unterschiedliche Ziele und Anforderungen) sowie aus politischen und finanziellen Gründen (unterschiedliche Instanzen, die Kontrolle haben möchten).

Eine öffentliche PKI ist eine, die für viele voneinander unabhängige Organisationen und (möglicherweise) Einzelpersonen geschaffen wurde, damit sie gemeinsam daran teilnehmen können. Die beliebteste und am besten definierte öffentliche PKI wird beispielsweise von den großen Browser-Anbietern betrieben; sie wird Web PKI genannt. Wenn Sie ein Zertifikat für Ihre öffentliche Website benötigen, ist Ihre einzige Wahl, eines von dieser PKI zu beziehen.

Eine öffentliche PKI ist nicht durch ihre Größe definiert. Die Web PKI ist groß und bildet ein Ende des Spektrums. Am anderen Ende könnte beispielsweise ein einzelner (möglicherweise größerer) Anbieter eine öffentliche PKI schaffen, um sie mit seinen Zulieferern zu nutzen, was konzeptionell dasselbe ist.

Werfen wir einen Blick auf einige bekannte öffentliche PKIs, denen Sie möglicherweise begegnen:

• Web PKI: Dies ist die PKI, die wir jeden Tag nutzen, jedes Mal, wenn wir uns irgendwo mit einer Website verbinden. Auf hoher Ebene kontrollieren vier Anbieter diese PKI: Apple, Firefox, Google und Microsoft. Das CA/Browser Forum ist das Branchengremium, das das Ökosystem überwacht, obwohl einige Aspekte der Web PKI direkt von den Browsern kontrolliert werden.
• Internet PKI ist eine enge Verwandte der Web PKI. Früher waren sie ähnlich, wenn nicht anfangs sogar identisch, doch im Laufe der Jahre haben sie sich auseinanderentwickelt. Ein Beispiel: Die Web PKI schreibt vor, dass alle öffentlichen Zertifikate zur Nachvollziehbarkeit protokolliert werden, während dies bei der Internet PKI zumindest derzeit nicht der Fall ist. Manchmal spielen diese Unterschiede eine Rolle, manchmal nicht. Da die Post-Quanten-Migration im Gange ist, werden sich die beiden PKIs wahrscheinlich weiter auseinanderentwickeln.
• Code-Signing-PKIs variieren in Popularität und Größe. Beachten Sie den Plural, denn es gibt keine einzige PKI, die von allen genutzt wird. Die Anbieter, die sie benötigen (zum Beispiel Apple, Google und Microsoft), verfolgen unterschiedliche Vertrauensansätze, und es werden nur wenige Zertifikate ausgestellt. Das CA/Browser Forum hat spezifische technische Anforderungen für Code-Signing-Zertifikate. Die erste offizielle Version auf ihrer Website stammt aus dem Jahr 2019, obwohl es frühere inoffizielle Versionen bereits seit 2016 gab.
• S/MIME PKI ist ein weiteres kleines Ökosystem, das sich noch im Aufbau befindet. Die erste technische Spezifikation für S/MIME-Zertifikate wurde im Januar 2023 veröffentlicht.
• BIMI (Brand Indicators for Message Identification)-Zertifikate werden von Organisationen genutzt, die aus Branding-Gründen möchten, dass ihre Logos mit den von ihnen versendeten E-Mails verknüpft werden.
• Matter PKI ist eine spezialisierte PKI, die von IoT-Geräten genutzt wird und es Geräten verschiedener Hersteller ermöglicht, in unterschiedlichen Rollen zusammenzuarbeiten. Möglicherweise verlassen Sie sich in Ihrem Alltag zunehmend auf diese PKI, doch solange Sie lediglich Kunde bleiben, müssen Sie sich vermutlich nie darüber Gedanken machen.

Bei öffentlichen PKIs wählen Sie meistens eine basierend auf Ihrem Bedarf aus. Wenn Sie beispielsweise Matter-Geräte herstellen, ist die einzige PKI, die für Sie relevant ist, die Matter PKI. Für Internetserver funktioniert die Web PKI in den meisten Fällen. In einigen seltenen Situationen (Sie werden es erkennen, wenn Sie darauf stoßen) müssen Sie sich die Internet PKI genauer ansehen.